Celah Kritis Wp2Shell WordPress Dieksploitasi untuk Pasang Webshell
Penyerang mulai mengeksploitasi rangkaian celah kritis “wp2shell” pada WordPress Core untuk memasang webshell persisten dan plugin berbahaya pada server yang rentan.
Kerentanan ini dilacak sebagai CVE-2026-63030 dan CVE-2026-60137. Rantai eksploitnya menyalahgunakan fitur batch-processing pada WordPress REST API, sehingga penyerang jarak jauh dapat menjalankan kode pada instalasi yang rentan tanpa perlu autentikasi.
Detail teknis penuh awalnya tidak langsung dipublikasikan, tetapi proof-of-concept mulai beredar pada akhir pekan setelah isu keamanan wp2shell diungkap. Eksploitasi aktif kemudian segera terkonfirmasi tidak lama setelah WordPress merilis perbaikan pada versi 7.0.2, 6.9.5, dan 6.8.6, termasuk melalui pembaruan keamanan otomatis untuk instalasi yang masih didukung.
Menurut analisis Wiz, aktivitas eksploitasi yang terpantau mencakup pemindaian massal terhadap instalasi WordPress rentan, penyalahgunaan fungsi upload plugin untuk memasang add-on berbahaya, serta pemasangan PHP webshell dengan variasi dari backdoor satu baris hingga shell yang lebih kompleks dan disamarkan sebagai plugin.
Penyerang juga terlihat melakukan kueri ke WordPress REST API untuk mengumpulkan nama pengguna dan alamat email administrator. Selain itu, terdapat percobaan local file inclusion yang menargetkan wp-config melalui admin-ajax.php untuk mengambil kredensial database dan authentication keys.
Dalam beberapa kasus, pelaku memasang plugin berbahaya yang mengekspos endpoint REST API untuk remote command execution. Wiz menyebut belum melihat lateral movement atau eksfiltrasi data dalam observasi mereka, tetapi aktivitas ancaman masih terus dipantau.
Laporan terpisah dari Johannes B. Ullrich dari SANS Technology Institute menggambarkan pola serangan dua tahap. Serangan dimulai dengan probing SQL injection untuk mengonfirmasi kerentanan, lalu dilanjutkan dengan pengiriman PHP webshell ke server.
Webshell tersebut dibuat di direktori /wp-content/cache/ dengan nama file acak yang juga dipakai sebagai password untuk mengaksesnya melalui variabel pada request URL. Jika parameter tidak sesuai, halaman akan menampilkan respons 404 palsu agar aktivitasnya tidak mudah terlihat.
Kode webshell yang dipublikasikan dalam analisis tersebut memeriksa ketersediaan beberapa fungsi PHP seperti system(), passthru(), exec(), shell_exec(), popen(), hingga backtick operator untuk menjalankan perintah. Beberapa serangan juga dilaporkan membuat akun administrator palsu.
Perusahaan keamanan WordPress Defiant menyebut probing terkait eksploitasi mulai terlihat pada 17 Juli pukul 23:29 UTC, diikuti percobaan SQL injection yang jelas hanya 13 menit kemudian. Kecepatan ini menunjukkan bahwa eksploitasi wp2shell bergerak sangat cepat setelah informasi teknis dan PoC mulai tersebar.
Administrator WordPress disarankan segera memperbarui situs ke versi yang sudah ditambal, memeriksa log untuk request terkait wp2shell, meninjau plugin yang terpasang, mengecek direktori /wp-content/cache/, serta mencari file PHP baru atau akun administrator yang tidak dikenal.
Selain patching, mitigasi melalui WAF dan audit integritas file menjadi langkah penting, terutama untuk situs yang sempat terekspos internet sebelum pembaruan diterapkan. Situs yang sudah dikompromikan perlu dianggap berisiko sampai webshell, plugin berbahaya, dan akun admin palsu benar-benar dibersihkan.
